弹性计算云与DDoS

阿里巴巴集团信息安全中心

云舒 (yunshu)

关于我

2002 ph4nt0m security team

2005 nsfocus

2006 Yahoo! China

2008 Alibaba Group

network security

cloud security

死亡交易！

还有多少？

攻击之道

• 以力取胜，重剑无锋大巧不工

UDP Flood、ICMP Flood、SYN Flood ……

• 灵活巧妙，四两拨千斤

slowloris、http range、hash Collision ……

• 信手拈来，兵无常势水无常形

SYN + ACK、stateless + slowloris ……

云的问题

• 战线长，边界复杂

– 外部对VM的攻击

– VM之间的攻击

– VM对外部的攻击

– VM对内部的攻击

还有问题

• 业务复杂，协议混乱

– TCP、UDP、P2P一个都不能少

– TCP 80端口一定是HTTP业务？

– 面向移动用户的业务和面向PC的业务能使用相

同的防御策略？

更多问题！

• 大二层网络

– ARP广播范围大、数量多

– 核心交换机MAC表容量不足

• 接入层交换机下沉

– X86架构的物理服务器数据包转发性能差

分层监控

• ABTN骨干网络

– Netflow分析摘要信息

• IDC机房入口层

– 镜像流量分析集群处理比例、趋势信息

• 宿主机接入层

– 监控脚本分析明细信息

自动化处理

• 防御策略自动化伸缩

– 保证网络整体可用

– 保证IDC机房可用

– 保证宿主机可用

– 保证单一VM可用

数据挖掘

• 分布式计算分析用户业务

– 无线用户、有线用户比例

– QPS(Query Per Second)趋势

– New Connection趋势

– Established Connection趋势

– DDoS Web shell检测

• 规则回送智能防御

防御之道

理论上的攻击可能是完美的、无法防御的，

但是具体的攻击事件是理论的一次实例化，

不可能达到理论的那种圆满程度，总有机会

找到一些特征做出特效药协助防御。

后记

• 遗留问题：

对WEB API的HTTP Flood如何防御？

• 联系我

ph4nt0m.yunshu@gmail.com

http://t.qq.com/yunshu